(57)【要約】  本発明の障害分析ルール抽出装置は、イベント前処理部、障害分析ルール抽出部を備える。イベント前処理部では、一定の時間ごとにまとめたイベントグループを、クラスタ分析により、同種の障害が発生していると推測できるイベントグループにまとめる。障害分析ルール抽出部では、各クラスタに対して、イベントログを関連付けることにより、障害分析に有用な障害分析ルールを抽出する。上記の構成の障害分析ルール抽出装置によって、システムのイベントログから、自動的に高精度な障害分析ルールを提供する。
2011111599.tif 000002
【特許請求の範囲】
【請求項１】
入力されたイベントログファイルに対して、イベントログのイベント発生時刻を参照して一定の時間帯ごとにイベントログの集合を作り、前記イベントログの集合に対して、クラスタ分析を行って複数のクラスタに分類するイベント前処理部と、
前記イベント前処理部で分類した前記クラスタごとに、前記イベントログ相互間の関連付けを行い、同一の障害から発生していると推測できるイベントログを関連付ける障害分析ルールを示す障害分析ルールファイルを出力する障害分析ルール抽出部と
を備える障害分析ルール抽出装置。
【請求項２】
請求項１の障害分析ルール抽出装置であって、
前記障害分析ルール抽出部は、前記イベントログ相互間の関連付けをアプリオリ手法により行う
障害分析ルール抽出装置。
【請求項３】
請求項１または請求項２の障害分析ルール抽出装置であって、
前記障害分析ルールファイルとイベントログファイルを入力として、同一の障害から発生していると推測できるイベントログの関連を明示したイベントログファイルを出力する障害分析部
を更に備える障害分析ルール抽出装置。
【請求項４】
請求項１乃至請求項３のいずれか１項に記載の障害分析ルール抽出装置であって、
入力部と、
前記障害分析ルールファイルを修正する障害分析ルール修正部と
を更に備える障害分析ルール抽出装置。
【請求項５】
請求項１乃至請求項４のいずれか１項に記載の障害分析ルール抽出装置であって、
前記イベント前処理部は、
クラスタ分析の対象となるデータを記録するクラスタ一覧表ファイルと、
入力されたイベントログファイルに対して、イベントログの発生時刻を参照し、一定時間ごとにイベントログをグループ化して、グループ化したイベントログの集合ごとに、各イベントのイベント発生回数を求め、前記グループ化したイベントログの集合ごとの各イベントのイベント発生回数を前記クラスタ一覧表ファイルに記録する時系列グループ化部と、
クラスタ間の距離を記録するクラスタ間非類似度表ファイルと、
前記クラスタ一覧表ファイルを読み込み、前記時系列グループ化部でグループ化したイベントログの集合において、各グループ化したイベントログの集合間の距離を、距離関数で求め、前記グループ化したイベントログの集合間の距離を前記クラスタ間非類似度表ファイルに記録するクラスタ間非類似度計算部と、
クラスタを結合して新しいクラスタを作成した際に、前記新しいクラスタと結合した２つのクラスタを記録する樹形図表ファイルと、
前記クラスタ間非類似度表ファイルを参照して、前記イベントログの集合に対してクラスタ分析を行い、前記クラスタ分析の過程で、クラスタを結合する度に、結合した前記クラスタと、結合前の２つのクラスタの対応を前記樹形図表ファイルに記録するとともに、結合した前記クラスタを前記クラスタ一覧表ファイルに記録するクラスタ分析部と、
前記樹形図表ファイルの前記結合したクラスタに対して、クラスタの評価手法を用いて、最適なクラスタを選択する最適クラスタ構成選択部と、
クラスタ分析の分類結果を記録するクラスタ構成表ファイルと、
前記最適クラスタ構成選択部が選択したクラスタに対して、前記樹形図表ファイルを辿ることで、各クラスタと前記各クラスタに含まれる前記イベントログの集合を求め、クラスタ全体の構成を前記クラスタ構成表ファイルに記録するクラスタ出力部と
を備える障害分析ルール抽出装置。
【請求項６】
請求項２に記載の障害分析ルール抽出装置であって、
前記障害分析ルール抽出部は、前記アプリオリ手法のイベントの支持度を、前記イベント前処理部で分類した前記クラスタごとに、前記クラスタ内で前記イベントが発生している前記イベントログの集合の個数を、前記クラスタに含まれている前記イベントログの集合の個数で除算することによって求める頻度計算部
を備える障害分析ルール抽出装置。
【請求項７】
障害分析ルール抽出装置により実施される障害分析ルール抽出方法であって、
入力されたイベントログファイルに基づいて、一定の時間帯ごとにイベントログの集合を作成するステップと、
前記イベントログの集合に対して、クラスタ分析を行うステップと、
前記クラスタ分析の結果に基づいて、前記イベントログの集合を複数のクラスタに分類するステップと、
前記クラスタごとに、前記イベントログ相互間の関連付けを行うステップと、
前記関連付けに基づいて、同一の障害から発生していると推測できるイベントログを関連付ける障害分析ルールを示す障害分析ルールファイルを出力するステップと
を含む障害分析ルール抽出方法。
【請求項８】
請求項７の障害分析ルール抽出方法であって、
前記イベントログの集合を作成するステップは、
クラスタ分析の対象となるデータを記録するクラスタ一覧表ファイルを記憶媒体に格納するステップと、
入力されたイベントログファイルに対して、イベントログの発生時刻を参照するステップと、
前記イベントログの発生時刻に基づいて、一定時間ごとにイベントログをグループ化するステップと、
グループ化したイベントログの集合ごとに、各イベントのイベント発生回数を求めるステップと、
前記グループ化したイベントログの集合ごとの各イベントのイベント発生回数を前記クラスタ一覧表ファイルに記録するステップを含み、
前記複数のクラスタに分類するステップは、
クラスタ間の距離を記録するクラスタ間非類似度表ファイルと、クラスタを結合して新しいクラスタを作成した際に、前記新しいクラスタと、結合した２つのクラスタを記録する樹形図表ファイルと、クラスタ分析の分類結果を記録するクラスタ構成表ファイルを記憶媒体に格納するステップと、
前記クラスタ一覧表ファイルを読み込むステップと、
前記時系列グループ化部でグループ化したイベントログの集合において、各グループ化したイベントログの集合間の距離を、距離関数で求めるステップと、
前記グループ化したイベントログの集合間の距離を前記クラスタ間非類似度表ファイルに記録するステップと、
前記クラスタ間非類似度表ファイルを参照するステップと、
前記イベントログの集合に対してクラスタ分析を行うステップと、
前記クラスタ分析の過程で、クラスタを結合する度に、結合した前記クラスタと、結合前の２つのクラスタの対応を前記樹形図表ファイルに記録するとともに、結合した前記クラスタを前記クラスタ一覧表ファイルに記録するステップと、
前記樹形図表ファイルの前記結合したクラスタに対して、クラスタの評価手法を用いて、最適なクラスタを選択するステップと、
前記最適クラスタ構成選択部が選択したクラスタに対して、前記樹形図表ファイルを辿ることで、各クラスタと前記各クラスタに含まれる前記イベントログの集合を求めるステップと、
クラスタ全体の構成を前記クラスタ構成表ファイルに記録するステップと
を含む障害分析ルール抽出方法。
【請求項９】
請求項７又は８に記載の障害分析ルール抽出方法であって、
前記関連付けを行うステップは、前記イベントログ相互間の関連付けをアプリオリ手法により行う
障害分析ルール抽出方法。
【請求項１０】
請求項７乃至９のいずれか１項に記載の障害分析ルール抽出方法をコンピュータに実行させるためのプログラムを格納した記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、システムが出力するイベントログに対して、相互に関連のあるイベントログを自動的に関連させて、障害を分析する技術に関する。
【背景技術】
【０００２】
システム管理者は、システムの障害を分析するために、システムのイベントログを参照するが、複数のイベントログが１つの障害要因から連鎖的に大量に発生している場合や、複数の障害が同時に発生する場合等には、イベントログが大量に出力される。このような場合に、システム管理者が、個々のイベントログを個別に解析して、障害を特定することは困難な場合が多く、障害の特定はシステム管理者のスキルに依存している。そこで、複数のイベントログを関連付けることによって、イベントログ相互間の関係を明らかにし、システム管理者が障害を特定し易いようにする技術が知られている。【０００３】
特開２００５−２１６１４８号公報（特許文献１）では、化学プラント等におけるコンピュータを用いた制御システムで発生するイベントの解析を行うイベント解析装置、イベント解析方法並びにイベント解析プログラムに関する発明が記載されている。特開２００５−２１６１４８号公報（特許文献１）に記載のアラームは、本発明の説明で記載のイベントまたはイベントログと同等の意味で捉えることができるため、以下、アラームをイベントと称呼して説明する。この発明の実施例として、例えば、２４時間を１分毎に区分し、１４４０のサンプル数のデータについて、イベント１とイベント２の関連について調べる方法が記載されている。まず、イベント１について、区分ごとにイベント１が発生していれば、１を対応させ、イベント１が発生していなければ、０を対応させることにより、１４４０ビットのビット列を生成する。イベント２についても、同様にして１４４０ビットのビット列を生成する。次に、イベント１を基準として、Δｔをイベント１とイベント２の発生時間の差とすると、例えば、−１００≦Δｔ≦１００の時間帯について、それぞれイベント１のビット列とΔｔだけ時間差のあるイベント２のビット列との論理積をとり、論理積の結果が１であるビットの数を数え、この値を相関値と定義している。このΔｔの範囲の場合、２０１個の相関値が算出されることになる。次に、この２０１個の相関値の中で最も大きい値として最大相関値を求め、この最大相関値となる発生時間差において、イベント１とイベント２を関連付けている。次に、イベント１とイベント２の発生回数によって、最大相関値を取る確率は変動するため、この確率を独立性確率と定義している。そして、独立性確率が低いほど、２つのイベントに相関があると判断している。イベントをクラスタ分析する際には、すべてのイベントの組み合わせについて、独立性確率を求め、この独立性確率を非類似度とし、１と非類似度との差をとることにより類似度を求めている。この類似度に基づいてクラスタ分析を行い、相関性のあるイベントを分類している。【０００４】
特開２００５−２１６１４８号公報（特許文献１）の発明の方法によると、独立性確率を基に類似度を定義してクラスタ分析を行っているが、独立性確率がイベントの発生回数に依存するため、発生頻度の高い障害によって、発生頻度の低い障害に関するイベントの関連付けが見逃される課題があった。例えば、障害Ａからイベント１、イベント２という連鎖イベントが同時刻区間に１０回発生し、障害Ｂからイベント１、イベント３という連鎖イベントが同時刻区間に１００回発生しているとする。この場合、障害Ｂは多発し、障害Ａは障害Ｂに比べると発生頻度が低い。特開２００５−２１６１４８号公報（特許文献１）の発明において、障害Ａのイベント１とイベント２の独立性確率を考える場合、イベント１が１１０回発生している状態で、イベント１とイベント２が１０回同時発生していることとなる。そのため、障害Ａのイベント１とイベント２の独立性確率は高くなる。すべての時間区分に対して合計してイベント１の発生回数を求めると、イベント１とイベント２の独立性確率はさらに高くなり、イベント１とイベント２は相関がないものとみなされてしまう可能性が高い。【０００５】
また、一般に、イベントログファイルから同一の障害から発生していると推測できるイベントログを関連付ける障害分析ルールを抽出しようとする場合、発生頻度の高い障害のイベント発生パターンであっても、他の障害のイベント発生パターンが混在することで、イベント発生パターンの特徴が平均化されて、発生頻度の高い障害の障害分析ルールが抽出されない可能性があるという課題がある。【０００６】
これらの課題を解決するためには、システム管理者が障害とイベントの相関関係を入力することで、障害ごとにイベントを区分けして、イベントログの関連付けを行う必要がある。この区分けは人手で行うため、工数がかかる。また、その障害に関してノウハウが蓄積されていない場合では、人手での区分け自体ができないという課題がある。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００５−２１６１４８号公報
【発明の概要】
【０００８】
本発明の第１の目的は、システム管理者が経験に基づいて、障害とイベントログの相関関係を入力して障害分析ルールを蓄積させる必要がなく、システムのイベントログを入力するだけで、自動的に高精度な障害分析ルールの抽出することにある。
【０００９】
本発明の第２の目的は、多種の障害が発生している場合や、発生頻度の低い障害に対しても、障害分析ルールの抽出の見落としが少ない高精度な障害分析ルールを抽出することにある。
【００１０】
本発明の障害分析ルール抽出装置は、イベント前処理部及び障害分析ルール抽出部を備える。イベント前処理部は、一定の時間帯ごとにグループ化したイベントログを、クラスタ分析することにより、同様のイベント発生パターンを持つクラスタに分類する。障害分析ルール抽出部は、分類されたクラスタごとに、同一の障害から発生していると推測できるイベントログを関連付ける障害分析ルールを抽出する。
【００１１】
本発明の障害分析ルール抽出方法は、障害分析ルール抽出装置により実施される障害分析ルール抽出方法である。この障害分析ルール抽出方法は、入力されたイベントログファイルに対して、イベントログのイベント発生時刻を参照して一定の時間帯ごとにイベントログの集合を作るイベントログ集合作成ステップと、前記イベントログの集合に対して、クラスタ分析を行って複数のクラスタに分類するクラスタ分類ステップと、前記クラスタ分析で分類した前記クラスタごとに、前記イベントログ相互間の関連付けを行い、同一の障害から発生していると推測できるイベントログを関連付ける障害分析ルールを示す障害分析ルールファイルを出力する障害分析ルール抽出ステップとを含む。
【００１２】
本発明の記憶媒体は、障害分析ルール抽出プログラムが格納されている。障害分析ルール抽出プログラムは、上述の障害分析ルール抽出方法を、コンピュータにより実現するための、コンピュータプログラムである。
【００１３】
第１の効果は、システム管理者が経験に基づいて、障害とイベントログの相関関係を入力して障害分析ルールを蓄積させる必要がなく、システムのイベントログを入力するだけで、自動的に高精度な障害分析ルールの抽出することができることにある。
【００１４】
第２の効果は、多種の障害が発生している場合や、発生頻度の低い障害に対しても、障害分析ルールの抽出の見落としが少なくなり、高精度な障害分析ルールを抽出することができることにある。
【図面の簡単な説明】
【００１５】
上記及び他の目的、長所、特徴は、次の図面と共に説明される本発明の実施例により明らかになるだろう。
【図１】本発明の実施例による障害分析ルール抽出装置のブロック図である。
【図２】本発明の実施例によるイベント前処理部のブロック図である。
【図３】本発明の実施例によるパターン検出部のブロック図である。
【図４】本発明の実施例によるパターン選択部のブロック図である。
【図５】システムが出力するイベントログファイルの例である。
【図６】本発明の実施例によるクラスタ一覧表ファイルの例である。
【図７】本発明の実施例によるイベント前処理部のフローチャートである。
【図８】本発明の実施例によるクラスタ間非類似度表ファイルの例である。
【図９】本発明の実施例によるクラスタ分析部が更新したクラスタ一覧表ファイルの例である。
【図１０】本発明の実施例によるクラスタ分析部が作成した樹形図表ファイルの例である。
【図１１】本発明の実施例による最適クラスタ構成選択部のΓ−ｉｎｄｅｘ法による計算例である。
【図１２】本発明の実施例によるクラスタ構成表ファイルの例である。
【図１３】本発明の実施例によるパターン検出部のフローチャートである。
【図１４】本発明の実施例によるイベント集合発生頻度表１ファイルの例である。
【図１５】本発明の実施例によるイベント集合発生頻度表２ファイルの例である。
【図１６】本発明の実施例によるイベント集合発生頻度表３ファイルの例である。
【図１７】本発明の実施例によるイベント集合発生頻度表４ファイルの例である。
【図１８】本発明の実施例によるパターン選択部のフローチャートである。
【図１９Ａ】本発明の実施例によるイベント組み合わせ表ファイルの例である。
【図１９Ｂ】本発明の実施例によるイベント組み合わせ表ファイルの例である。
【図２０】本発明の実施例によるルール化部のフローチャートである。
【発明を実施するための形態】
【００１６】
［構成の説明］
添付図面を参照して、本発明の実施例による障害分析ルール抽出装置を以下に説明する。図１は、本実施例における障害分析ルール抽出装置のブロック図である。
【００１７】
障害分析ルール抽出装置の制御部１は、イベント前処理部１０、障害分析ルール抽出部２、障害分析ルール修正部６０、障害分析部７０を備える。
【００１８】
障害分析ルール抽出部２は、パターン検出部２０、パターン選択部３０、ルール化部４０を備える。
【００１９】
管理対象システム３によって、イベントログ１００が出力され、イベントログファイルとして保存される。イベントログファイルがイベント前処理部１０に入力されると、イベント前処理部１０は、イベントログのクラスタ分析と分類したクラスタの評価を行い、クラスタの構成データを障害分析ルール抽出部２に渡す。障害分析ルール抽出部２は、アプリオリ手法（Ａｇｒａｗａｌ  Ｒ，Ｓｒｉｋａｎｔ  Ｒ．Ｆａｓｔ  ａｌｇｏｒｉｔｈｍ  ｆｏｒ  ｍｉｎｉｎｇ  ａｓｓｏｃｉａｔｉｏｎ  ｒｕｌｅｓ．ＩＢＭ  Ｒｅｓｅａｒｃｈ  Ｒｅｐｏｒｔ，１９９４）等を利用して、パターン検出部２０、パターン選択部３０、ルール化部４０の順に処理を行い、同一の障害から発生していると推測できるイベントログを関連付ける障害分析ルール１０１を出力する。システム管理者４は、障害分析ルール抽出装置が出力した障害分析ルール１０１を修正することができる。システム管理者４が、入力部５０から障害分析ルール抽出装置を操作すると、障害分析ルール修正部６０によって、障害分析ルール１０１は修正される。障害分析部７０は、管理対象システム３が保存したイベントログファイルと障害分析ルール１０１を入力として、障害分析を行い、イベントログの分析結果１０２を出力する。
【００２０】
次に、添付図面を参照して、本発明の実施例によるイベント前処理部１０の構成を以下に説明する。図２は、本発明の実施例によるイベント前処理部１０のブロック図である。イベント前処理部１０は、時系列グループ化部１１、クラスタ間非類似度計算部１２、クラスタ分析部１３、最適クラスタ構成選択部１４、クラスタ出力部１５を備える。
【００２１】
次に、添付図面を参照して、本発明の実施例によるパターン検出部２０の構成を以下に説明する。図３は、本発明の実施例によるパターン検出部２０のブロック図である。パターン検出部２０は、頻度計算部２１、フィルタ部２２、組み合わせ作成部２３を備える。
【００２２】
次に、添付図面を参照して、本発明の実施例によるパターン選択部３０の構成を以下に説明する。図４は、本発明の実施例によるパターン選択部３０のブロック図である。パターン選択部３０は、組み合わせ抽出部３１、信頼度計算部３２、組み合わせ選択部３３を備える。
【００２３】
以上が、本発明の実施例による障害分析ルール抽出装置の構成の説明である。
【００２４】
次に、本発明の実施例による障害分析ルール抽出装置の動作の詳細について説明する。
【００２５】
まず、イベント前処理部１０について説明する。イベント前処理部１０では、複数のイベントログを分類する際に、データ解析手法の一つであるクラスタ分析を利用している。
【００２６】
まず、クラスタ分析の対象となるイベントログについて説明する。管理対象システム３は、システムに状態変化があった場合に、この状態変化をイベントとしてイベントログファイルに追記する。図５は、システムが出力するイベントログファイルの例である。イベントログは、イベント発生時刻、イベント発生箇所、イベント種別、イベントメッセージ、その他の属性等から構成される。
【００２７】
添付図面を参照して、本発明の実施例によるイベント前処理部１０を以下に説明する。図７は、本発明の実施例によるイベント前処理部１０のフローチャートである。
【００２８】
（ステップＳ１００）
時系列グループ化部１１は、イベントログファイルを入力とし、クラスタ一覧表ファイルを出力とする。時系列グループ化部１１は、イベントログの発生時刻を参照し、一定時間ごとにイベントログをグループ化し、イベントログの集合を作成する。このイベントログの集合をここでは、小イベント群と呼ぶ。時系列グループ化部１１は、小イベント群単位に、イベント種別ごとのイベント数を数え上げ、クラスタ一覧表ファイルに書き込む。図６は、本発明の実施例によるクラスタ一覧表ファイルの例である。イベントの種類については、紙面の都合上、すべてのイベントを記載していない。クラスタ一覧表は、小イベント群をキーとして、イベント発生時間、使用中フラグ、イベント種別ごとのイベントの項目を有する。図６のクラスタ一覧表ファイルの例では、１分単位で小イベント群が作成されている。例えば、小イベント群Ｅ１は、２００９／１／２０  １７：３０：００から１分間に発生したイベントをグループ化したものであり、”Ｃｏｕｌｄ  ｎｏｔ  ｃｒｅａｔｅ  ｃｏｎｎｅｃｔｉｏｎ”のイベントが３件発生していることを表している。クラスタ一覧表には、イベントが発生している時間帯のみ、行が作成されている。図６のクラスタ一覧表ファイルの例では、例えば、２００９／１／２０  １７：３１：００〜２００９／１／２０  １７：３４：５９の時間帯には、イベントが発生していないことがわかる。
【００２９】
後述の処理で使用される使用中フラグの初期値は、時系列グループ化部１１によってクラスタ一覧表を作成する際に、ＯＮに設定される。
【００３０】
（ステップＳ１１０）
時系列グループ化部１１は、使用中フラグがＯＮであるクラスタ一覧表の行の数を判定する。使用中フラグがＯＮである行が、２行以上ある場合には、ステップＳ１２０に進む。使用中フラグがＯＮである行が、２行未満である場合には、ステップＳ１４０に進む。
【００３１】
（ステップＳ１２０）
まず、小イベント群Ｅｎの取り扱いについて説明する。
【００３２】
小イベント群Ｅｎは、イベント種別をベクトル空間の次元に対応させることにより、ベクトルとみなすことができる。例えば、イベント種別の種類が４４種類であれば、小イベント群Ｅｎは、４４次元のベクトルとみなすことができる。
【００３３】
小イベント群Ｅ１とＥ２の非類似度ｄ（Ｅ１、Ｅ２）を、次の通り定義する。
【００３４】
【数１】
2011111599.tif 000003
【００３５】
ここで、Ｅ１・Ｅ２は、ベクトルの内積、｜Ｅ１｜は、ベクトルの長さを表す。
【００３６】
このｄを、小イベント群Ｅｎをクラスタ分析する際の距離関数として利用する。
【００３７】
例えば、図６のクラスタ一覧表ファイルの例では、Ｅ１＝（０，０，０，０，０，３，０，０，０，０，０，０，０，０，０，０，０，０，０，０，０，０，１，０，０，０，０，０，０，０，０，０，０，０，１，０，１，１，１，０，０，０，０，０）、Ｅ３＝（０，０，０，０，０，２，０，０，０，０，０，０，８，０，０，０，０，０，０，０，０，０，０，０，０，０，０，０，０，０，３，３，３，０，０，０，０，０，０，０，０，０，０，０）である。ただし、図６のクラスタ一覧表ファイルは、紙面の都合上すべてのイベント種別を記載していない。｜Ｅ１｜≒３．７、｜Ｅ３｜≒９．７、Ｅ１・Ｅ３＝６であるため、
【００３８】
【数２】
2011111599.tif 000004
となる。
【００３９】
クラスタ間非類似度計算部１２は、使用中フラグがＯＮである小イベント群のすべての組み合わせに関して、非類似度を計算し、クラスタ間非類似度表ファイルを作成する。図８は、本発明の実施例によるクラスタ間非類似度表ファイルの例である。クラスタ間非類似度表は、使用中フラグがＯＮの小イベント群Ｅｎを、行と列にとった行列であり、行列の成分には、対応する非類似度が設定されている。図８では、非類似度は、小数点２桁まで計算されている。ただし、対角成分は、同じ小イベント群Ｅｎ同士の非類似度が対応するため、特に値をもたないが、実装上、非類似度の最大値である１を入れてもよい。また、例えば、Ｅ１行Ｅ３列とＥ３行Ｅ１列は、同じ非類似度が入ることになるため、クラスタ間非類似度表は対称行列となる。
【００４０】
（ステップＳ１３０）
クラスタ分析部１３は、クラスタ間非類似度表ファイルから非類似度の最小値を検索し、非類似度が最小値となる小イベント群Ｅｎ同士を結合して、クラスタＣ１を作成する。クラスタ分析部１３は、クラスタ一覧表ファイルにクラスタＣ１を追記する。その際、イベント種別ごとのイベント発生数は、各小イベント群のイベント発生回数の和である。例えば、ベクトル和の平均Ｃ１＝（Ｅ１＋Ｅ２）／２とする。クラスタ分析部１３は、クラスタ一覧表ファイルにクラスタＣ１を追記する際、イベント発生時間については、値を設定しない。また、クラスタ分析部１３は、クラスタ一覧表ファイルにクラスタＣ１を追記する際、クラスタＣ１については使用中フラグをＯＮに設定し、クラスタＣ１に含まれることになった各小イベント群については、使用中フラグをＯＦＦに設定する。
【００４１】
図８のクラスタ間非類似度表ファイルの例では、例えば、小イベント群Ｅ３と小イベント群Ｅ６の非類似度０．００が、非類似度の最小値として検索される。クラスタ分析部１３は、小イベント群Ｅ３と小イベント群Ｅ６を結合して、クラスタＣ１＝（Ｅ３＋Ｅ６）／２を作成する。クラスタ分析部１３は、クラスタ一覧表ファイルにクラスタＣ１を追記する際、イベント発生時間については値を設定しない。また、クラスタ分析部１３は、クラスタ一覧表ファイルにクラスタＣ１を追記する際、クラスタＣ１については使用中フラグをＯＮに設定し、クラスタＣ１に含まれることとなる小イベント群Ｅ３と小イベント群Ｅ６については、使用中フラグをＯＦＦに設定する。図９は、本発明の実施例によるクラスタ分析部が更新したクラスタ一覧表ファイルの例である。
【００４２】
また、クラスタ分析部１３は、他のどの小イベント群Ｅｎに対しても、非類似度が一定の値以上の小イベント群Ｅｉについては、ひとつにまとめる必要がないため、クラスタ一覧表ファイルの小イベント群Ｅｉの使用中フラグをＯＦＦにする。ひとつにまとめる必要がない小イベント群Ｅｉは、それ自体で１つのクラスタとして取り扱う。例えば、図８のクラスタ間非類似度表ファイルの例では、小イベント群Ｅ９は、他のどの小イベント群Ｅｎに対しても、非類似度の最大値である１をとる。そのため、小イベント群Ｅ９については、他のクラスタとは結合せずに１つのクラスタとして取り扱う。
【００４３】
クラスタ分析部１３は、樹形図表ファイルの作成も同時に行う。樹形図表ファイルには、クラスタ分析部１３で結合したクラスタと、結合したクラスタに含まれる各小イベント群を追記する。図１０は、本発明の実施例によるクラスタ分析部が作成した樹形図表ファイルの例である。図１０の樹形図表ファイルは、クラスタ名とマージクラスタの項目を有する。クラスタ名は、クラスタ分析部１３が結合したクラスタ名である。マージクラスタは、クラスタ分析部１３が結合したクラスタに含まれるクラスタである。樹形図表ファイルを参照すれば、クラスタ間の関係を、樹形図として視覚的に表すことが可能である。
【００４４】
クラスタ分析部１３が、結合したクラスタに対して、クラスタ一覧表ファイルの追記と樹形図表ファイルの追記を行った後、更新されたクラスタ一覧表ファイルに基づいて、クラスタ間非類似度計算部１２、クラスタ分析部１３の処理を行うため、ステップＳ１１０に戻る。
【００４５】
なお、本発明における非類似度の算出におけるクラスタ分析手法は、クラスタを結合する際にベクトル和の平均としたため、重心法によるクラスタ分析であるが、最近隣法、最遠隣法、群平均法、メディアン法、ウォード法などいずれのクラスタ分析手法も適用することができる。
【００４６】
（ステップＳ１４０）
最適クラスタ構成選択部１４は、クラスタの評価手法を用いて、樹形図表ファイルから最適なクラスタを選択する。クラスタの評価手法については、例えば、Γ−ｉｎｄｅｘ法［ＦＢ  Ｂａｋｅｒ，ＬＪ  Ｈｕｂｅｒｔ  −  Ｍｅａｓｕｒｉｎｇ  ｔｈｅ  ｐｏｗｅｒ  ｏｆ  ｈｉｅｒａｒｃｈｉｃａｌ  ｃｌｕｓｔｅｒ  ａｎａｌｙｓｉｓ，Ｊｏｕｒｎａｌ  ｏｆ  ｔｈｅ  Ａｍｅｒｉｃａｎ  Ｓｔａｔｉｓｔｉｃａｌ  Ａｓｓｏｃｉａｔｉｏｎ，１９７５］やＢｅａｌｅ  ｔｅｓｔ［Ｂｅａｌｅ，  Ｅ．Ｍ．Ｌ．（１９６９）．Ｃｌｕｓｔｅｒ  ａｎａｌｙｓｉｓ．Ｌｏｎｄｏｎ：Ｓｃｉｅｎｔｉｆｉｃ  Ｃｏｎｔｒｏｌ  Ｓｙｓｔｅｍｓ．］が使用される。
【００４７】
ここでは、Γ−ｉｎｄｅｘ法について説明する。
【００４８】
クラスタＣごとに、クラスタ内部の非類似度の集合を以下のように定義する。
【００４９】
【数３】
2011111599.tif 000005
【００５０】
以下のように、ＤＩ（Ｃ）の和集合ＤＩを定義する。
【００５１】
【数４】
2011111599.tif 000006
【００５２】
一方、クラスタ間の非類似度の集合を以下のように定義する。
【００５３】
【数５】
2011111599.tif 000007
【００５４】
このとき、Γ＋、Γ―、Γを以下のように定義する。
【００５５】
【数６】
2011111599.tif 000008
【００５６】
【数７】
2011111599.tif 000009
【００５７】
【数８】
2011111599.tif 000010
【００５８】
最適クラスタ構成選択部１４は、各クラスタにおいてΓを計算し、最大のΓの値を有するクラスタを最適なクラスタとして選択する。図１１は、本発明の実施例による最適クラスタ構成選択部のΓ−ｉｎｄｅｘ法による計算例である。この例では、Ｃ２５のΓが最大値０．３３であるため、最適クラスタ構成選択部１４は、Ｃ２５を最適なクラスタとして選択し、樹形図表ファイルからＣ２５の行を選択する。なお、Ｃ３５もΓの値が０．３３となっているが、この例では、番号の若い方を採用することにより、クラスタの数が多い分類結果の方を優先している。最大値のΓをとるクラスタが複数ある場合の選択方法は、指針により任意に定めることができる。
【００５９】
（ステップＳ１５０）
クラスタ出力部１５は、最適クラスタ構成選択部１４が選択したクラスタの樹形図表ファイルの行を基に、クラスタ一覧表ファイルを参照して、クラスタ構成表ファイルを作成する。図１２は、本発明の実施例によるクラスタ構成表ファイルの例である。クラスタ構成表ファイルは、クラスタ名をキーとし、キーとなるクラスタに含まれる小イベント群の項目を有する。
【００６０】
クラスタ出力部１５は、最適クラスタ構成選択部１４が選択したクラスタの樹形図表ファイルの行までに現れるクラスタ名を、クラスタ構成表ファイルのクラスタ名の候補に選ぶ。次に、選択された行までのマージクラスタ列に現れるクラスタ名を除き、残った樹形図表ファイルのクラスタ名をクラスタ構成表ファイルのクラスタ名に記載する。そして、クラスタ出力部１５は、樹形図から選択されたクラスタ名に対して、樹形図表ファイルを辿ることで、クラスタが含むすべての小イベント群を取得し、クラスタ構成表ファイルの小イベント群の項目に記載する。
【００６１】
次に、障害分析ルール抽出部２のパターン検出部２０について説明する。図１３は、本発明の実施例によるパターン検出部２０のフローチャートである。
【００６２】
（ステップＳ２００）
頻度計算部２１は、クラスタごとに処理を行うため、クラスタ構成表ファイルを一行読み込む。
【００６３】
（ステップＳ２１０）
頻度計算部２１は、まだ読み込んでいないクラスタ構成表ファイルの行がある場合には、ステップＳ２２０に進み、クラスタ構成表ファイルのすべての行を読み込み済みの場合には、処理を終了する。
【００６４】
（ステップＳ２２０）
頻度計算部２１は、ステップＳ２００で読み込んだクラスタの行に含まれる小イベント群を対象にして、イベント種別ごとに、クラスタ一覧表ファイルを参照して、そのイベントが発生している小イベント群の個数を数え上げる。また、数えあげた小イベント群の個数の全小イベント群に対する割合をイベントの支持度として計算する。
【００６５】
すなわち、イベントｅの支持度をｓｕｐ（ｅ）、小イベント群をＥｎ、小イベント群全体の集合をＵとすると、
【００６６】
【数９】
2011111599.tif 000011
【００６７】
例えば、クラスタＣ２０２には、小イベント群｛Ｅ２７，Ｅ３４５，Ｅ２８７，Ｅ２８２，Ｅ２３８，Ｅ２３４，Ｅ１８７，Ｅ１８３，Ｅ１３６，Ｅ１３２，Ｅ８４，Ｅ８０，Ｅ２９，Ｅ３５，Ｅ３４７，Ｅ２８５，Ｅ２３６，Ｅ１８４，Ｅ１３５，Ｅ３２，Ｅ８１，Ｅ１３０，Ｅ２８９，Ｅ２４３，Ｅ１９０，Ｅ１４０，Ｅ４０，Ｅ８９，Ｅ３４２，Ｅ７８，Ｅ２３０，Ｅ１８１，Ｅ２８０｝が含まれているとする。このとき、クラスタ一覧表ファイルを参照して、１４個の小イベント群で”ＩＮＦＯ  ［ｊｂｏｓｓ］”イベントが発生していた場合は、クラスタＣ２０２には、３３個の小イベント群があるため、”ＩＮＦＯ  ［ｊｂｏｓｓ］”イベントの支持度は、１４／３３＝０．４２となり、４２％の支持度になる。  
【００６８】
頻度計算部２１は、すべてのイベント種別に対して、前述の数えあげた小イベント群の個数とイベントの支持度を計算し、イベント集合発生頻度表１ファイルを作成する。ここで、イベント集合発生頻度表ＮのＮという数字は、Ｎが２以上の場合は、Ｎ個のイベントの組み合わせに対して、数えあげた小イベント群の個数とイベントの支持度を計算していることを表す。Ｎが２以上の場合については、後述する。図１４は、本発明の実施例によるイベント集合発生頻度表１ファイルの例である。イベント集合発生頻度表１ファイルは、イベント集合、発生頻度、支持度、チェックの項目を有する。イベント集合発生頻度表１ファイルのイベント集合は、イベントログのイベント種別が設定される。発生頻度には、対象のクラスタで、そのイベントが発生している小イベント群の個数が設定される。支持度には、対象のクラスタにおけるイベントの支持度が設定される。チェックの項目は、ステップＳ２３０で、フィルタ部２２により設定される。
【００６９】
（ステップＳ２３０）
フィルタ部２２は、イベント集合発生頻度表Ｎのイベントの支持度を参照し、最小支持度以上の値を持つイベント集合発生頻度表Ｎの行にチェックを入れる。最小支持度は、例えば、０．５等の値である。
【００７０】
（ステップＳ２４０）
組み合わせ作成部２３は、イベント集合発生頻度表Ｎファイルを基にして、イベント集合発生頻度表Ｎ＋１ファイルを作成するが、組み合わせ作成部２３は、ＮＣｎ（ｎ＝１，２，・・・）の組み合わせを考える際、ｎ＝Ｎとなった場合には、すべての組み合わせを作成したと判断し、ステップＳ２７０に進む。ｎ＝Ｎ以外の場合には、ステップＳ２５０に進む。
【００７１】
（ステップＳ２５０）
組み合わせ作成部２３は、イベント集合発生頻度表Ｎを基にして、イベント集合発生頻度表Ｎでチェックされているイベントを組み合わせて、イベント集合発生頻度表Ｎ＋１を作成する。イベント集合発生頻度表Ｎファイル（Ｎ≧２）に含まれる項目は、イベント集合がＮ個の組み合わせになる他は、イベント集合発生頻度表１ファイルと同じである。
【００７２】
まず、イベント集合発生頻度表１ファイルからイベント集合発生頻度表２ファイルを作成する方法について説明する。図１５は、本発明の実施例によるイベント集合発生頻度表２ファイルの例である。この例では、図１４のイベント集合発生頻度表１ファイルの例に基づいて作成されている。すなわち、図１４においてチェックがついているイベントは、”ＣＲＯＮＤ”、  ”ｓｓｈｄ：  Ａｃｃｅｐｔｅｄ  ｐｕｂｌｉｃｋｅｙ”、  ”ｓｓｈｄ：  ｓｅｓｓｉｏｎ  ｃｌｏｓｅｄ”、  ”ｓｓｈｄ：  ｓｅｓｓｉｏｎ  ｏｐｅｎｅｄ”であるため、図１５のイベント集合発生頻度表２ファイルでは、これらの組み合わせである４Ｃ２＝６通りの行が作成されている。図１５のイベント集合発生頻度表２ファイルの発生頻度、支持度については、頻度計算部２１によりステップＳ２６０で設定される。チェック列については、ステップＳ２３０に戻った際に、フィルタ部２２により設定される。
【００７３】
次に、イベント集合発生頻度表Ｎファイル（Ｎ≧２）から、イベント集合発生頻度表Ｎ＋１ファイルを作成する方法について説明する。イベント集合発生頻度表Ｎ＋１は、イベント集合発生頻度表Ｎの要素の組み合わせをとることで作成する。このとき、組み合わされたイベント集合から、いずれの１つのイベントを除いたイベントの組み合わせもイベント集合発生頻度表Ｎで、チェックがついている要素に対応しなければならないようにする。例えば、イベントａ，イベントｂ，イベントｃに対して、イベント集合発生頻度表２ファイルでチェックがついているイベント集合の要素（ａ，ｂ），（ｂ，ｃ）から、イベント集合発生頻度表３ファイルの組み合わされたイベント集合（ａ，ｂ，ｃ）が作成された場合、（ａ，ｂ）、（ａ，ｃ）、（ｂ，ｃ）のいずれもが、イベント集合発生頻度表２ファイルでチェックがついていなければならない。（ａ，ｂ）、（ａ，ｃ）、（ｂ，ｃ）のいずれもが、イベント集合発生頻度表２ファイルでチェックがついていなければ、イベント集合発生頻度表３ファイルにイベント集合（ａ，ｂ，ｃ）は含まれない。なお、この条件は、イベント集合発生頻度表１ファイルからイベント集合発生頻度表２ファイルを作成する際には、必ず満たすため問題とはならない。
【００７４】
（ステップＳ２６０）
頻度計算部２１は、イベント集合発生頻度表１ファイルを作成したときと同様にして、小イベント群の個数とイベントの支持度を計算し、イベント集合発生頻度表Ｎファイルを更新する。例えば、図１５のイベント集合発生頻度表２ファイルの例において、”ＣＲＯＮＤ”、  ”ｓｓｈｄ：  Ａｃｃｅｐｔｅｄ  ｐｕｂｌｉｃｋｅｙ”の行は、発生頻度が２２、支持度が６７％となっている。これは、”ＣＲＯＮＤ”、  ”ｓｓｈｄ：  Ａｃｃｅｐｔｅｄ  ｐｕｂｌｉｃｋｅｙ”の両方を含んでいる小イベント群が２２個であり、対象のクラスタの全小イベント群の個数が３３個であるため、２２／３３≒０．６７であるからである。図１５のイベント集合発生頻度表２ファイルのチェック列については、ステップＳ２３０に戻った際に、フィルタ部２２により設定される。
【００７５】
このように、ステップＳ２３０、ステップＳ２４０、ステップＳ２５０、ステップＳ２６０を繰り返すことで、イベント集合発生頻度表Ｎファイル（Ｎ≧２）が作成される。Ｎが３以上の例として、図１６は、本発明の実施例によるイベント集合発生頻度表３ファイルの例である。図１７は、本発明の実施例によるイベント集合発生頻度表４ファイルの例である。
【００７６】
（ステップＳ２７０）
パターン選択部３０は、パターン検出部２０の次の処理ブロックであるため、図１８の本発明の実施例によるパターン選択部のフローチャートを利用して、別途、後述する。
【００７７】
（ステップＳ２８０）
ルール化部４０は、パターン選択部３０の次の処理ブロックであるため、図２０の本発明の実施例によるルール化部のフローチャートを利用して、別途、後述する。
【００７８】
ステップＳ２８０を終了すると、クラスタ構成表ファイル一行分の処理が終了する。
【００７９】
パターン検出部２０は、Ｓ２００に戻ることで、クラスタ構成表の次の行に記載されたクラスタについて、同様の処理を行う。
【００８０】
以上が、本発明の実施例によるパターン検出部２０の説明である。
【００８１】
次に、障害分析ルール抽出部２のパターン選択部３０について説明する。図１８は、本発明の実施例によるパターン選択部のフローチャートである。
【００８２】
（ステップＳ３００）
組み合わせ抽出部３１は、パターン検出部２０で作成したイベント集合発生頻度表Ｎファイル（Ｎ＝１、２、・・・）を参照し、前提とその関連するイベント集合の組み合わせを構成し、イベント組み合わせ表ファイルを作成する。図１９Ａ及び図１９Ｂは、本発明の実施例によるイベント組み合わせ表ファイルの例である。イベント組み合わせ表は、Ｎｏ、前提イベント、関連イベント、信頼度、チェックの項目を有する。この例のイベント組み合わせ表の各行は、図１５のイベント集合発生頻度表２ファイル、図１６のイベント集合発生頻度表３ファイル、図１７のイベント集合発生頻度表４ファイルに対応している。図１９Ａ及び図１９Ｂのイベント組み合わせ表の１行目から１２行目には、図１５のイベント集合発生頻度表２ファイルから作成された要素が対応する。図１９Ａ及び図１９Ｂのイベント組み合わせ表の１３行目から３６行目には、図１６のイベント集合発生頻度表３ファイルから作成された要素が対応する。イベント集合発生頻度表３ファイルから、前提とその関連するイベント集合の組み合わせを構成する場合には、前提イベントが２つ、関連イベントが１つの場合と、前提イベントが１つ、関連イベントが２つの場合の組み合わせを考える。図１９Ａ及び図１９Ｂのイベント組み合わせ表の３７行目から５０行目には、図１７のイベント集合発生頻度表１ファイルから作成された要素が対応する。イベント集合発生頻度表４ファイルから、前提とその関連するイベント集合の組み合わせを構成する場合には、前提イベントが１つ、関連イベントが３つの場合と、前提イベントが２つ、関連イベントが２つの場合と、前提イベントが３つ、関連イベントが１つの場合の組み合わせを考える。
【００８３】
図１９Ａ及び図１９Ｂのイベント組み合わせ表ファイルの信頼度は、ステップＳ３１０で信頼度計算部３２により設定され、図１９Ａ及び図１９Ｂのイベント組み合わせ表ファイルのチェック列は、ステップＳ３２０で組み合わせ選択部３３により設定される。
【００８４】
（ステップＳ３１０）
信頼度計算部３２は、イベント組み合わせ表ファイルの各行について、イベント集合発生頻度表ファイルを参照して、信頼度を計算する。信頼度は、前提イベントが発生した場合に、前提イベントと関連イベントが発生した場合の確率で求める。
【００８５】
例えば、イベントａ、イベントｂ、イベントｃに対して、イベントａ、イベントｂが発生したときにイベントｃが発生する場合“ａ，ｂ→ｃ”の信頼度をｃｏｎｆ（｛ａ，ｂ｝，｛ｃ｝）とすると、
【００８６】
【数１０】
2011111599.tif 000012
となる。
【００８７】
例えば、図１４のイベント集合発生頻度表１ファイル、図１５のイベント集合発生頻度表２ファイルの例で、前提イベントが”ＣＲＯＮＤ”、関連イベントが”ｓｓｈｄ：  ｓｅｓｓｉｏｎ  ｃｌｏｓｅｄ”の場合を考える。前提イベントである”ＣＲＯＮＤ”の支持度は、イベント集合発生頻度表１ファイルを参照すると６７％であることがわかる。”ＣＲＯＮＤ”と”ｓｓｈｄ：  ｓｅｓｓｉｏｎ  ｃｌｏｓｅｄ”の両方のイベントが発生した場合の支持度は、イベント集合発生頻度表２ファイルを参照すると９７％であることがわかる。したがって、前提イベントが”ＣＲＯＮＤ”、関連イベントが”ｓｓｈｄ：  ｓｅｓｓｉｏｎ  ｃｌｏｓｅｄ”の場合の信頼度は６９％となる。
【００８８】
（ステップＳ３２０）
組み合わせ選択部３３は、イベント組み合わせ表の信頼度が、最小信頼度以上の値を持つイベント組み合わせ表の行にチェックを入れる。最小信頼度は、例えば、０．８等の値が設定されている。このようにして、図１９Ａ及び図１９Ｂのようなイベント組み合わせ表ファイルが作成される。
【００８９】
以上が、本発明の実施例によるパターン選択部３０の説明である。
【００９０】
次に、障害分析ルール抽出部２のルール化部４０について説明する。図２０は、本発明の実施例によるルール化部のフローチャートである。
【００９１】
（ステップＳ４００）
ルール化部４０は、イベント組み合わせ表のうち、チェックされた信頼度の高い因果関係から障害分析部７０で処理可能な障害分析ルールを作成する。障害分析ルールの例としては、イベントコリレーションがある。例えば、イベント種別Ａとイベント種別Ｂが短時間の間に連続的に発生することが多い場合には、同一の障害によって、発生したイベントであると判断して、発生原因であるイベント種別Ａにまとめるというルールである。このルールは、例えば“Ａ→Ｂ”と記載され、イベントＢはイベントＡが原因で派生することを意味する。このようなルールにより、システム管理者は、すべてのイベントログを均一のレベルで解析する必要がなくなるため、障害分析が容易化する。例えば、図１９Ａ及び図１９Ｂの２０行目を参照すると、前提イベントとして、”ｓｓｈｄ：  ｓｅｓｓｉｏｎ  ｏｐｅｎｅｄ”と“ｓｓｈｄ：  Ａｃｃｅｐｔｅｄ  ｐｕｂｌｉｃｋｅｙ”が発生しており、関連イベントとして、”ｓｓｈｄ：  ｓｅｓｓｉｏｎ  ｃｌｏｓｅｄ“が発生していることがわかる。図１９Ａ及び図１９Ｂの２０行目の信頼度を参照すると、１００％となっているため、これらのイベントは、連続的に発生することが多いと考えることができる。ルール化部４０は、例えば、障害分析ルールとして、イベントログ相互間の関連を”ｓｓｈｄ：  ｓｅｓｓｉｏｎ  ｏｐｅｎｅｄ”，“ｓｓｈｄ：  Ａｃｃｅｐｔｅｄ  ｐｕｂｌｉｃｋｅｙ”→”ｓｓｈｄ：  ｓｅｓｓｉｏｎ  ｃｌｏｓｅｄ“で捉えることにより、障害分析に役立てることができるようにする。
【００９２】
本発明の実施例では、同一の障害から発生していると推測できるイベントログを関連付ける障害分析ルールの作成するにあたって、システム管理者が経験に基づいて、障害とイベントログの相関関係を入力する必要がない。
【００９３】
また、障害分析ルールの作成を、同じようなイベント発生パターンをまとめたクラスタごとに行うため、同時にイベント発生パターンが大きく異なる他の障害を対象にして、障害分析ルールが作成されることがない。障害分析ルールとして検出できるはずであったイベント発生パターンの特徴が平均化されて、見過ごされてしまうことがないため、障害分析ルールの精度を上げることができる。
【００９４】
また、一定時間ごとに区切ってまとめたイベントの集合をクラスタ分析したクラスタを対象にして、障害分析ルールを作成しているため、発生頻度の低い障害によるイベントに対しても、障害分析ルールを作成できる可能性が高い。すなわち、障害の発生のタイミングにより、一定時間ごとに区切ってまとめたイベントの集合に、発生頻度の低い障害によるイベントと、発生頻度の高い障害のイベントが含まれない場合には、発生頻度の低い障害によるイベントに対しても、高精度な障害分析ルールを作成することができる。
【００９５】
以上が、本発明の実施例によるルール化部４０の説明である。
【００９６】
次に、障害分析部７０について説明する。
【００９７】
障害分析部７０は、障害分析ルールファイルとイベントログファイルを入力とし、障害分析ルールに基づき分析結果１０２を出力する。分析結果１０２は、イベント種別ａのイベントＥｉと、イベント種別ｂのイベントＥｊは、同一の障害から発生した可能性が高いことを管理者に提示する。例えば、障害分析ルールの情報に基づいて、入力したイベントログに対して、前提イベントと関連イベントの関係にあるイベントに対しては、イベントをハイライトさせたイベントログファイルを出力する。管理者は多数のイベントの中からイベントＥｉ、イベントＥｊが同一の障害から発生した可能性が高いことを知り、障害原因の推測に役立てることができる。
【００９８】
以上、本発明の実施の形態が添付の図面を参照することにより説明された。但し、本発明は、上述の実施の形態に限定されず、要旨を逸脱しない範囲で当業者により適宜変更され得る。
【００９９】
（付記１）
入力されたイベントログファイルに対して、イベントログのイベント発生時刻を参照して一定の時間帯ごとにイベントログの集合を作り、前記イベントログの集合に対して、クラスタ分析を行って複数のクラスタに分類するイベント前処理部と、
前記イベント前処理部で分類した前記クラスタごとに、前記イベントログ相互間の関連付けを行い、同一の障害から発生していると推測できるイベントログを関連付ける障害分析ルールを示す障害分析ルールファイルを出力する障害分析ルール抽出部と
を備える障害分析ルール抽出装置。
【０１００】
（付記２）
付記１の障害分析ルール抽出装置であって、
前記障害分析ルール抽出部は、前記イベントログ相互間の関連付けをアプリオリ手法により行う
障害分析ルール抽出装置。
【０１０１】
（付記３）
付記１または付記２の障害分析ルール抽出装置であって、
前記障害分析ルールファイルとイベントログファイルを入力として、同一の障害から発生していると推測できるイベントログの関連を明示したイベントログファイルを出力する障害分析部
を更に備える障害分析ルール抽出装置。
【０１０２】
（付記４）
付記１乃至付記３のいずれか１項に記載の障害分析ルール抽出装置であって、
入力部と、
前記障害分析ルールファイルを修正する障害分析ルール修正部と
を更に備える障害分析ルール抽出装置。
【０１０３】
（付記５）
付記１乃至付記４のいずれか１項に記載の障害分析ルール抽出装置であって、
前記イベント前処理部は、
クラスタ分析の対象となるデータを記録するクラスタ一覧表ファイルと、
入力されたイベントログファイルに対して、イベントログの発生時刻を参照し、一定時間ごとにイベントログをグループ化して、グループ化したイベントログの集合ごとに、各イベントのイベント発生回数を求め、前記グループ化したイベントログの集合ごとの各イベントのイベント発生回数を前記クラスタ一覧表ファイルに記録する時系列グループ化部と、
クラスタ間の距離を記録するクラスタ間非類似度表ファイルと、
前記クラスタ一覧表ファイルを読み込み、前記時系列グループ化部でグループ化したイベントログの集合において、各グループ化したイベントログの集合間の距離を、距離関数で求め、前記グループ化したイベントログの集合間の距離を前記クラスタ間非類似度表ファイルに記録するクラスタ間非類似度計算部と、
クラスタを結合して新しいクラスタを作成した際に、前記新しいクラスタと結合した２つのクラスタを記録する樹形図表ファイルと、
前記クラスタ間非類似度表ファイルを参照して、前記イベントログの集合に対してクラスタ分析を行い、前記クラスタ分析の過程で、クラスタを結合する度に、結合した前記クラスタと、結合前の２つのクラスタの対応を前記樹形図表ファイルに記録するとともに、結合した前記クラスタを前記クラスタ一覧表ファイルに記録するクラスタ分析部と、
前記樹形図表ファイルの前記結合したクラスタに対して、クラスタの評価手法を用いて、最適なクラスタを選択する最適クラスタ構成選択部と、
クラスタ分析の分類結果を記録するクラスタ構成表ファイルと、
前記最適クラスタ構成選択部が選択したクラスタに対して、前記樹形図表ファイルを辿ることで、各クラスタと前記各クラスタに含まれる前記イベントログの集合を求め、クラスタ全体の構成を前記クラスタ構成表ファイルに記録するクラスタ出力部と
を備える障害分析ルール抽出装置。
【０１０４】
（付記６）
付記２に記載の障害分析ルール抽出装置であって、
前記障害分析ルール抽出部は、前記アプリオリ手法のイベントの支持度を、前記イベント前処理部で分類した前記クラスタごとに、前記クラスタ内で前記イベントが発生している前記イベントログの集合の個数を、前記クラスタに含まれている前記イベントログの集合の個数で除算することによって求める頻度計算部
を備える障害分析ルール抽出装置。
【０１０５】
（付記７）
障害分析ルール抽出装置により実施される障害分析ルール抽出方法であって、
入力されたイベントログファイルに基づいて、一定の時間帯ごとにイベントログの集合を作成するステップと、
前記イベントログの集合に対して、クラスタ分析を行うステップと、
前記クラスタ分析の結果に基づいて、前記イベントログの集合を複数のクラスタに分類するステップと、
前記クラスタごとに、前記イベントログ相互間の関連付けを行うステップと、
前記関連付けに基づいて、同一の障害から発生していると推測できるイベントログを関連付ける障害分析ルールを示す障害分析ルールファイルを出力するステップと
を含む障害分析ルール抽出方法。
【０１０６】
（付記８）
付記７の障害分析ルール抽出方法であって、
前記関連付けを行うステップは、前記イベントログ相互間の関連付けをアプリオリ手法により行う
障害分析ルール抽出方法。
【０１０７】
（付記９）
付記７または付記８の障害分析ルール抽出方法であって、
前記イベントログの集合を作成するステップは、
クラスタ分析の対象となるデータを記録するクラスタ一覧表ファイルを記憶媒体に格納するステップと、
入力されたイベントログファイルに対して、イベントログの発生時刻を参照するステップと、
前記イベントログの発生時刻に基づいて、一定時間ごとにイベントログをグループ化するステップと、
グループ化したイベントログの集合ごとに、各イベントのイベント発生回数を求めるステップと、
前記グループ化したイベントログの集合ごとの各イベントのイベント発生回数を前記クラスタ一覧表ファイルに記録するステップを含み、
前記複数のクラスタに分類するステップは、
クラスタ間の距離を記録するクラスタ間非類似度表ファイルと、クラスタを結合して新しいクラスタを作成した際に、前記新しいクラスタと、結合した２つのクラスタを記録する樹形図表ファイルと、クラスタ分析の分類結果を記録するクラスタ構成表ファイルを記憶媒体に格納するステップと、
前記クラスタ一覧表ファイルを読み込むステップと、
前記時系列グループ化部でグループ化したイベントログの集合において、各グループ化したイベントログの集合間の距離を、距離関数で求めるステップと、
前記グループ化したイベントログの集合間の距離を前記クラスタ間非類似度表ファイルに記録するステップと、
前記クラスタ間非類似度表ファイルを参照するステップと、
前記イベントログの集合に対してクラスタ分析を行うステップと、
前記クラスタ分析の過程で、クラスタを結合する度に、結合した前記クラスタと、結合前の２つのクラスタの対応を前記樹形図表ファイルに記録するとともに、結合した前記クラスタを前記クラスタ一覧表ファイルに記録するステップと、
前記樹形図表ファイルの前記結合したクラスタに対して、クラスタの評価手法を用いて、最適なクラスタを選択するステップと、
前記最適クラスタ構成選択部が選択したクラスタに対して、前記樹形図表ファイルを辿ることで、各クラスタと前記各クラスタに含まれる前記イベントログの集合を求めるステップと、
クラスタ全体の構成を前記クラスタ構成表ファイルに記録するステップと
を含む障害分析ルール抽出方法。
【０１０８】
（付記１０）
付記８の障害分析ルール抽出方法であって、
前記アプリオリ手法のイベントの支持度を、前記イベント前処理方法で作成した前記クラスタごとに、前記クラスタ内で前記イベントが発生している前記イベントログの集合の個数を、前記クラスタに含まれている前記イベントログの集合の個数で除算することによって求めるステップ
を含む障害分析ルール抽出方法。
【０１０９】
（付記１１）
付記７乃至１０のいずれか１項に記載の障害分析ルール抽出方法をコンピュータに実行させるためのプログラムを格納した記憶媒体。
【０１１０】
なお、本出願は、２０１０年３月１１日に出願された日本出願番号２０１０−０５４５３９に基づく優先権を主張するものであり、日本出願番号２０１０−０５４５３９における開示内容は引用により本出願に組み込まれる。
【図１】
2011111599.tif 000013
【図２】
2011111599.tif 000014
【図３】
2011111599.tif 000015
【図４】
2011111599.tif 000016
【図５】
2011111599.tif 000017
【図６】
2011111599.tif 000018
【図７】
2011111599.tif 000019
【図８】
2011111599.tif 000020
【図９】
2011111599.tif 000021
【図１０】
2011111599.tif 000022
【図１１】
2011111599.tif 000023
【図１２】
2011111599.tif 000024
【図１３】
2011111599.tif 000025
【図１４】
2011111599.tif 000026
【図１５】
2011111599.tif 000027
【図１６】
2011111599.tif 000028
【図１７】
2011111599.tif 000029
【図１８】
2011111599.tif 000030
【図１９Ａ】
2011111599.tif 000031
【図１９Ｂ】
2011111599.tif 000032
【図２０】
2011111599.tif 000033
【国際調査報告】
2011111599.tif 000034
2011111599.tif 000035
2011111599.tif 000036
2011111599.tif 000037